如何在PHP中转义输出

Question

我是新手,只是为了清楚.我听到很多关于逃避数据以防止XSS攻击的事情.我该怎么做呢？

这就是我目前正在做的事情 -

$s = mysqli_real_escape_string($connect,$_POST['name']));

这够了吗？谢谢

Answer 1

如果将数据输出到html,则应使用htmlspecialchars() else,如果要将数据存储在数据库中,则应使用mysqli_real_escape_string()转义字符串并转换数字(或使用两者的预准备语句)并保护标识符/运算符基于白名单的过滤机.

如果以正确的方式使用它们,这些方法都是您所需要的.

Answer 2

您应该使用htmlspecialchars而不是mysqli_real_escape_string进行输出。